Documentazione di Sistema SGSI

Governance - Politiche e Quadro di Riferimento

Governance - Politiche e Quadro di Riferimento

POLITICA DI SICUREZZA DELLE INFORMAZIONI

Obiettivi e Scopo 

La Direzione di Forma Farm S.r.l. (con sede legale in Via Savona 10, Milano) riconosce la sicurezza delle informazioni, la protezione dei dati personali e la continuità dei servizi e-learning erogati tramite Forma Cloud LMS come elementi strategici fondamentali per il successo aziendale e per la tutela della fiducia dei propri clienti, partner e utenti. Il presente documento stabilisce i principi guida, le responsabilità e il quadro di riferimento per la sicurezza delle informazioni all'interno dell'organizzazione, in conformità agli standard internazionali ISO/IEC 27001 e al Regolamento UE 2016/679 (GDPR).

Campo di Applicazione (Scope)

La presente politica si applica a:

Principi Fondamentali della Sicurezza

Forma Farm S.r.l. adotta e persegue i tre pilastri classici della sicurezza delle informazioni:

  1. Confidenzialità: Garantire che l'accesso alle informazioni e ai dati dei clienti sia consentito esclusivamente ai soggetti autorizzati.
  2. Integrità: Salvaguardare l'accuratezza e la completezza delle informazioni, dei dati di training e del software da modifiche non autorizzate o accidentali.
  3. Disponibilità: Assicurare che i sistemi e le piattaforme cloud siano accessibili e utilizzabili dagli utenti autorizzati secondo i livelli di servizio concordati.

Impegni della Direzione

La Direzione si impegna a:

  1. Definire, riesaminare periodicamente e aggiornare gli obiettivi di sicurezza delle informazioni.
  2. Garantire adeguate risorse finanziarie, tecnologiche e umane per la gestione del Sistema di Gestione della Sicurezza delle Informazioni (SGSI).
  3. Promuovere una cultura aziendale orientata alla sicurezza attraverso piani di formazione e sensibilizzazione (Security Awareness) rivolti al personale.
  4. Garantire il rispetto degli obblighi di conformità legale, statutaria e contrattuale.

Aree di Controllo e Sicurezza Operativa 

Per proteggere il proprio ecosistema digitale, Forma Farm adotta misure tecniche e organizzative specifiche, tra cui: Sicurezza dell'Infrastruttura Cloud: Utilizzo di infrastrutture cloud globali certificate (es. ambienti AWS gestiti da personale qualificato), protette da meccanismi di cifratura dei dati in transito (HTTPS) e a riposo. Controllo degli Accessi e IAM: Adozione del principio del minimo privilegio (least privilege), gestione sicura delle credenziali di autenticazione e tracciabilità degli accessi amministrativi alle piattaforme. Gestione delle Vulnerabilità e Patch Management: Monitoraggio costante della sicurezza del software, aggiornamento regolare dei sistemi operativi, dei componenti open source e dei plugin per prevenire vulnerabilità. Backup e Disaster Recovery: Esecuzione di copie di sicurezza periodiche dei dati e test di ripristino per garantire la continuità operativa in caso di incidenti. Gestione degli Incidenti (Incident Management): Adozione di procedure chiare per la rilevazione tempestiva, la segnalazione e la mitigazione di eventuali violazioni di sicurezza o anomalie tecniche.

Violazioni della Policy

Il mancato rispetto delle disposizioni contenute nella presente Information Security Policy e nelle procedure operative ad essa collegate può comportare conseguenze disciplinari, oltre a eventuali responsabilità civili e penali previste dalle normative vigenti.

Riesame e Aggiornamento

La presente Information Security Policy è soggetta a revisione almeno annuale da parte della Direzione, o in occasione di cambiamenti significativi dell'infrastruttura tecnologica, del business o del contesto normativo di riferimento, al fine di garantirne la costante idoneità ed efficacia nel tempo.

Data di approvazione: Ottobre 2026
Forma Farm S.r.l. – La Direzione

Governance - Politiche e Quadro di Riferimento

POLITICHE SPECIFICHE DI DOMINIO

Le Politiche Specifiche di Dominio a supporto del Sistema di Gestione della Sicurezza delle Informazioni (SGSI) per Forma Farm S.r.l. definiscono le regole operative e i comportamenti richiesti in aree specifiche dell'organizzazione. 

Controllo degli Accessi e IAM (Identity and Access Management)

Utilizzo dei Dispositivi Mobili e dello Smart Working (Mobile Device & Teleworking Policy)

Classificazione e Gestione delle Informazioni

Clean Desk e Clean Screen

Sicurezza delle Password e Autenticazione

Sicurezza dello Sviluppo e delle Operazioni Cloud (Integrazione DevOps / Secure SDLC)

Governance - Politiche e Quadro di Riferimento

Ruoli e Responsabilità

Ruoli e responsabilità del Sistema di Gestione della Sicurezza delle Informazioni (SGSI)

1. Scopo

Il presente documento definisce i ruoli funzionali e i relativi ambiti di responsabilità nell'ambito del Sistema di Gestione della Sicurezza delle Informazioni (SGSI) di Forma Farm Srl.

L'obiettivo è assicurare che le responsabilità e le autorità rilevanti per la gestione della sicurezza delle informazioni siano chiaramente identificate, assegnate e comunicate, in coerenza con i requisiti della norma ISO/IEC 27001:2022.

Il modello organizzativo è proporzionato alle dimensioni e alla struttura di Forma Farm, che opera attraverso i propri soci e una rete di collaboratori e professionisti esterni, senza personale dipendente.

2. Principi organizzativi

L'organizzazione del SGSI si basa sui seguenti principi:

I ruoli descritti nel presente documento sono funzioni organizzative e non necessariamente posizioni lavorative o incarichi professionali autonomi.

3. Ruoli e responsabilità funzionali

La seguente tabella identifica i ruoli funzionali previsti nell'organizzazione del SGSI e ne descrive il rispettivo ambito di responsabilità.

Codice Ruolo Ambito di responsabilità
DIR Direzione / Amministratore Indirizzo e supervisione del SGSI; approvazione delle politiche e degli obiettivi di sicurezza; assegnazione delle risorse; approvazione delle decisioni di competenza in materia di gestione dei rischi; riesame delle prestazioni del SGSI.
RSI Responsabile del SGSI Coordinamento e mantenimento del SGSI; supporto all'analisi e al trattamento dei rischi; gestione della documentazione; monitoraggio degli obiettivi e delle azioni di miglioramento; coordinamento delle attività di verifica e reporting alla Direzione.
TEC Responsabile tecnico e infrastrutture Gestione della sicurezza delle infrastrutture e degli ambienti tecnologici; configurazioni e aggiornamenti; gestione tecnica degli accessi; backup e ripristino; monitoraggio; gestione delle vulnerabilità e degli interventi tecnici di sicurezza.
SWD Responsabile sviluppo software Sicurezza del processo di sviluppo; gestione del codice sorgente e dei repository; controllo delle modifiche; gestione delle dipendenze software; verifiche e test; sicurezza dei rilasci e manutenzione applicativa.
PRI Referente privacy e protezione dei dati Coordinamento degli aspetti relativi alla protezione dei dati personali; supporto nella gestione degli adempimenti privacy, delle richieste degli interessati e delle violazioni di dati personali, in coordinamento con la Direzione e con le funzioni coinvolte.
COM Responsabile commerciale e marketing Gestione sicura delle informazioni commerciali; protezione dei dati di clienti e prospect; utilizzo sicuro degli strumenti CRM e marketing; riservatezza delle offerte e dei contratti; condivisione autorizzata delle informazioni con clienti e soggetti esterni.
HD Responsabile helpdesk e assistenza clienti Gestione e classificazione delle richieste di assistenza; supporto agli utenti; gestione dei ticket; accesso alle informazioni e ai sistemi dei clienti secondo le autorizzazioni ricevute; documentazione degli interventi e segnalazione di anomalie e incidenti.
VER Verificatore / auditor interno Pianificazione ed esecuzione delle verifiche interne sul SGSI; valutazione della conformità e dell'efficacia dei controlli; documentazione dei risultati degli audit e verifica delle azioni correttive, assicurando obiettività e imparzialità.

I ruoli possono essere ricoperti da più soggetti contemporaneamente. In particolare, le funzioni operative possono essere svolte da collaboratori esterni, mentre le responsabilità di coordinamento, supervisione e approvazione possono rimanere in capo ai soci o ad altri soggetti formalmente incaricati.

3.1 Collaboratori e fornitori esterni

Le attività affidate a collaboratori e fornitori esterni sono svolte nell'ambito degli incarichi e degli accordi contrattuali definiti con Forma Farm.

I collaboratori che partecipano alle attività del SGSI o che accedono a informazioni, sistemi e infrastrutture aziendali o dei clienti sono tenuti a:

La qualifica di socio o collaboratore non determina automaticamente l'attribuzione di specifiche responsabilità o autorizzazioni: queste sono definite in funzione dei ruoli effettivamente ricoperti e degli incarichi assegnati.

4. Assegnazione nominativa delle responsabilità

L'assegnazione dei ruoli funzionali ai singoli soggetti è documentata mediante una specifica matrice nominativa delle responsabilità RACI, riportata nel documento «Matrice RACI – Assegnazione delle responsabilità SGSI».

La matrice associa le persone ai ruoli funzionali definiti nel presente documento, specificando per ciascun ruolo il livello di responsabilità attribuito:

La matrice consente di rappresentare anche situazioni in cui uno stesso ruolo è ricoperto da più persone con livelli di responsabilità differenti, ad esempio quando un collaboratore svolge le attività operative e un socio mantiene la responsabilità ultima della funzione.

Per ciascun ruolo e per le responsabilità pertinenti deve essere identificato il soggetto dotato dell'autorità necessaria, evitando ambiguità nell'attribuzione delle decisioni.

5. Separazione dei compiti e controlli compensativi

Considerate le dimensioni dell'organizzazione e la possibilità che uno stesso soggetto ricopra più ruoli, Forma Farm valuta la separazione dei compiti in funzione della natura delle attività e dei rischi associati.

Particolare attenzione è riservata a:

Quando non è possibile realizzare una separazione diretta tra chi esegue e chi approva o verifica un'attività, possono essere adottati controlli compensativi, quali registrazione delle operazioni, revisione successiva, approvazione da parte della Direzione o verifica indipendente.

Le modalità di applicazione dei controlli sono definite nelle procedure operative pertinenti e documentate attraverso le relative evidenze.

6. Aggiornamento e riesame

Il presente documento e la relativa matrice RACI sono mantenuti aggiornati dal Responsabile del SGSI e sottoposti all'approvazione della Direzione.

Sono riesaminati in occasione di:

Le modifiche alle assegnazioni nominative sono riportate nella matrice RACI, mentre il presente documento viene aggiornato quando cambiano i ruoli funzionali o i rispettivi ambiti di responsabilità.

7. Riferimenti

Governance - Politiche e Quadro di Riferimento

Assegnazione Ruoli e Responsabilità SGSI

Di seguito la versione aggiornata di GOV-03, con Giuseppe Nucifora aggiunto e Alessandro Vivona indicato come responsabile ultimo dello sviluppo software.

GOV-03 – Matrice RACI: assegnazione delle responsabilità SGSI

1. Scopo

La presente matrice identifica l'assegnazione delle responsabilità relative ai ruoli funzionali del Sistema di Gestione per la Sicurezza delle Informazioni (SGSI) di Forma Farm Srl.

La matrice integra il documento GOV-02 – Ruoli e responsabilità del SGSI, che descrive gli ambiti e le responsabilità associati a ciascun ruolo.

L'assegnazione è effettuata a livello di ruolo funzionale e non di singola attività. Le responsabilità operative di dettaglio possono essere ulteriormente specificate nelle procedure del SGSI.

2. Legenda

Sigla

Significato

Descrizione

A

Accountable

Responsabile ultimo del ruolo e dei relativi risultati; assicura che le responsabilità siano presidiate e assume le decisioni di competenza.

R

Responsible

Svolge operativamente le attività associate al ruolo.

C

Consulted

È consultato prima delle decisioni o delle attività rilevanti.

I

Informed

È informato sulle decisioni o sulle attività rilevanti.

–

Non assegnato

Non ha responsabilità attribuite per il ruolo.

Una stessa persona può ricoprire più ruoli. Per ciascun ruolo deve essere chiaramente individuata la responsabilità ultima (A), ove applicabile. La stessa persona può ricoprire sia il ruolo A sia quello R (A/R).

3. Matrice persone / ruoli

Persona

Qualifica

DIR

RSI

TEC

SWD

PRI

COM

HD

Alberto Pastorelli

Amministratore

A

A/R

–

–

A/R

–

A

Alessandro Affronto

Socio

–

–

A/R

–

–

–

–

Massimiliano Ferrari

Socio

–

–

–

–

–

A

–

Manuele Frau

Collaboratore – Marketing e Commerciale

–

–

–

–

–

R

–

Francesca Scalinci

Collaboratore – Marketing e Commerciale

–

–

–

–

–

R

–

Luisiana Garau

Collaboratore – Helpdesk

–

–

–

–

–

–

R

Alessandro Vivona

Collaboratore – Developer

–

–

–

A/R

–

–

–

Marco Urzi

Collaboratore – Developer

–

–

–

R

–

–

–

Giuseppe Nucifora

Collaboratore – Developer

–

–

–

R

–

–

–

4. Ruoli e responsabilità da completare

Il ruolo SWD – Responsabile sviluppo software è assegnato ad Alessandro Vivona come responsabile ultimo (A) e operativo (R).

Marco Urzi e Giuseppe Nucifora sono indicati come responsabili operativi (R) delle attività di sviluppo.

L'eventuale attribuzione di ulteriori responsabilità ai soci e ai collaboratori sarà formalizzata in occasione del successivo aggiornamento della matrice.

5. Audit interni

La funzione di verificatore / auditor interno (VER) non è prevista come ruolo funzionale permanente nella presente matrice.

Gli audit interni richiesti dal punto 9.2 della ISO/IEC 27001:2022 sono pianificati ed eseguiti da persone incaricate in funzione dell'audit specifico, garantendo obiettività e imparzialità.

La persona incaricata non deve verificare autonomamente attività o processi di cui è direttamente responsabile. Quando non sia possibile garantire adeguata indipendenza all'interno dell'organizzazione, Forma Farm può ricorrere a un auditor esterno.

6. Aggiornamento

La matrice è mantenuta aggiornata dal Responsabile del SGSI e sottoposta alla Direzione in occasione delle modifiche organizzative o del riesame del SGSI.

Deve essere aggiornata in caso di:

  • ingresso o uscita di soci e collaboratori;

  • modifica delle funzioni o delle responsabilità assegnate;

  • attribuzione o cessazione di un ruolo funzionale;

  • modifiche organizzative che incidano sulla gestione della sicurezza delle informazioni.

 

Risk Management - Scopo, Contesto e Valutazione dei Rischi

Risk Management - Scopo, Contesto e Valutazione dei Rischi

Analisi del Contesto e Gestione dei Rischi ISO 27001

1. Definizione del Contesto e dei Portatori d'Interesse (Stakeholders)

1.1 Analisi del Contesto Organizzativo

Forma Farm S.r.l. sviluppa, mantiene ed eroga soluzioni software per la formazione, con particolare riferimento alla piattaforma e-learning Forma LMS, al servizio Forma Cloud LMS e ai relativi plugin e servizi integrati.

L'organizzazione opera in un contesto caratterizzato dall'evoluzione continua delle tecnologie, dalla dipendenza da fornitori e servizi digitali esterni e dalla necessità di garantire la sicurezza delle informazioni trattate nello sviluppo software e nell'erogazione dei servizi ai clienti.

Il modello operativo di Forma Farm si basa sulla collaborazione con soci e professionisti esterni, che svolgono le proprie attività interamente da remoto (full remote), senza una sede operativa aziendale presso cui si svolgano ordinariamente le attività lavorative. L'organizzazione si avvale inoltre di fornitori specializzati per l'infrastruttura tecnologica e per altri servizi necessari allo svolgimento delle attività aziendali.

I fattori interni ed esterni rilevanti per il Sistema di Gestione della Sicurezza delle Informazioni (SGSI) sono individuati e riesaminati considerando le caratteristiche dell'organizzazione, i servizi erogati, le esigenze delle parti interessate e le variazioni del contesto operativo.

Fattori esterni

Fattori interni

Il contesto organizzativo viene riesaminato almeno annualmente e in occasione di cambiamenti significativi nei servizi erogati, nell'organizzazione, nelle tecnologie utilizzate, nei fornitori rilevanti o nei requisiti normativi e contrattuali applicabili.

1.2 Parti Interessate e relative Esigenze e Aspettative

Forma Farm individua le parti interessate rilevanti per il SGSI e determina quali esigenze e aspettative costituiscono requisiti applicabili alle attività comprese nel campo di applicazione del sistema.

Le esigenze considerate comprendono gli obblighi normativi e regolamentari, i requisiti contrattuali, gli impegni assunti nei confronti dei clienti e le altre condizioni pertinenti alla sicurezza delle informazioni.

Portatore d'interesse (Stakeholder) Esigenze e aspettative rilevanti Requisiti di sicurezza collegati
Clienti (aziende e organizzazioni) Protezione delle informazioni e dei dati trattati nei servizi erogati; affidabilità e continuità della piattaforma; rispetto degli impegni contrattuali. Gestione degli accessi; protezione dei dati; disponibilità del servizio; gestione degli incidenti; rispetto dei DPA, degli SLA e degli eventuali requisiti di audit applicabili.
Utenti finali e corsisti Riservatezza dei dati personali e delle attività formative; corretto funzionamento del servizio; protezione degli account. Autenticazione; controllo degli accessi; protezione delle informazioni; gestione delle vulnerabilità e delle anomalie di sicurezza.
Soci e Direzione aziendale Continuità delle attività, tutela della reputazione, protezione della proprietà intellettuale e sostenibilità dei servizi erogati. Definizione delle responsabilità; approvazione delle politiche e dei criteri di sicurezza; valutazione e trattamento dei rischi; disponibilità delle risorse necessarie al SGSI.
Collaboratori e professionisti esterni Chiarezza delle responsabilità e delle autorizzazioni; disponibilità degli strumenti necessari; tutela delle informazioni a cui accedono nello svolgimento delle attività. Impegni di riservatezza; autorizzazioni coerenti con le attività assegnate; gestione degli accessi; rispetto delle regole e delle procedure di sicurezza applicabili.
Fornitori di infrastruttura cloud e servizi tecnologici Rispetto degli accordi contrattuali e delle condizioni di utilizzo dei servizi; definizione delle responsabilità tra le parti. Valutazione dei fornitori; verifica delle garanzie e degli impegni contrattuali pertinenti; gestione delle dipendenze esterne e dei rischi della catena di fornitura.
Altri fornitori e partner operativi Definizione delle condizioni di collaborazione e delle responsabilità; protezione delle informazioni condivise. Riservatezza; gestione degli accessi, ove applicabile; definizione dei requisiti di sicurezza pertinenti al servizio fornito.
Autorità di controllo e organismi competenti Rispetto degli obblighi legislativi e regolamentari applicabili; disponibilità delle informazioni richieste nell'ambito delle rispettive competenze. Conformità normativa; conservazione delle evidenze pertinenti; gestione delle violazioni e degli incidenti secondo gli obblighi applicabili.
Organismi di certificazione e auditor Disponibilità di evidenze attendibili relative al SGSI e alla conformità ai requisiti applicabili. Documentazione controllata; registrazioni delle attività svolte; tracciabilità delle valutazioni e delle decisioni; disponibilità delle evidenze necessarie agli audit.

Le parti interessate e i relativi requisiti vengono riesaminati almeno annualmente e quando intervengono cambiamenti significativi nei rapporti contrattuali, nei servizi, nell'organizzazione o nel quadro normativo applicabile.

I requisiti individuati sono considerati nella definizione del campo di applicazione del SGSI, nell'individuazione dei rischi per la sicurezza delle informazioni e nella determinazione delle misure di sicurezza pertinenti. I dettagli relativi agli obblighi contrattuali, normativi e alle specifiche misure adottate sono mantenuti nella documentazione di riferimento del SGSI.

2. Campo di Applicazione (Scope) del SGSI

2.1 Perimetro di certificazione

Il Campo di Applicazione del Sistema di Gestione della Sicurezza delle Informazioni (SGSI) di Forma Farm S.r.l. comprende:

«La progettazione, lo sviluppo, la manutenzione, l'erogazione in modalità SaaS e l'assistenza tecnica della piattaforma e-learning Forma Cloud LMS, dei relativi plugin, dei servizi cloud integrati e delle infrastrutture tecnologiche correlate, in conformità alle politiche aziendali e ai requisiti applicabili.»

Il perimetro comprende i processi, le risorse, gli strumenti e le informazioni necessari alla progettazione, allo sviluppo, alla manutenzione e all'erogazione dei servizi inclusi, nonché le attività di gestione tecnica e supporto connesse.

Le attività e i servizi di terze parti da cui dipende l'erogazione dei servizi inclusi nel perimetro sono considerati nell'ambito del SGSI per gli aspetti pertinenti alla sicurezza delle informazioni.

2.2 Delimitazione operativa, logica e fisica

Le attività eventualmente affidate a fornitori esterni non sono considerate estranee al SGSI per il solo fatto di essere esternalizzate: le relative dipendenze e i rischi connessi sono valutati in funzione del loro impatto sui servizi e sulle informazioni comprese nel perimetro.

3. Metodologia di Valutazione del Rischio (Risk Assessment Methodology)

3.1 Criteri di Valutazione

Forma Farm S.r.l. adotta un approccio basato sul rischio (Risk-Based Approach) coerente con le linee guida della norma ISO/IEC 27005. Il rischio ($R$) viene calcolato in funzione della Probabilità ($P$) che una minaccia sfrutti una vulnerabilità di un asset e dell'Impatto ($I$) derivante dalla perdita di Confidenzialità, Integrità o Disponibilità.

$$R = P \times I$$

3.2 Scale di Valutazione

3.3 Matrice del Rischio e Soglie di Accettabilità

Probabilità / ImpattoImpatto Lieve (1)Impatto Moderato (2)Impatto Grave (3)
**Alta (3)****3 (Medio)****6 (Alto)****9 (Critico)**
**Media (2)****2 (Basso)****4 (Medio)****6 (Alto)**
**Bassa (1)****1 (Basso)****2 (Basso)****3 (Medio)**
Risk Management - Scopo, Contesto e Valutazione dei Rischi

REGISTRO DEI RISCHI (RISK REGISTER)

Documento: Registro dei Rischi (Risk Register)
Organizzazione: Forma Farm S.r.l. (Via Savona 10, Milano)
Standard di Riferimento: ISO/IEC 27001:2022 / ISO/IEC 27005
Ambito (Scope): Sviluppo, gestione, manutenzione ed erogazione SaaS della piattaforma Forma Cloud LMS, plugin e servizi cloud correlati.

1. Metodologia e Formula di Calcolo

Il calcolo del Rischio Lordo ($R$) e del Rischio Residuo viene effettuato moltiplicando la Probabilità ($P$) che una minaccia sfrutti una vulnerabilità dell'asset per l'Impatto ($I$) registrato su Confidenzialità, Integrità o Disponibilità:

$$R = P \times I$$

Scale di Valutazione:

Matrice di Rischio e Soglie di Trattamento:

2. Tabella Inventario Minacce, Vulnerabilità e Rischi

ID Rischio Asset Coinvolto Minaccia (Threat) Vulnerabilità Sfruttata $P$ $I$ Rischio Lordo ($R$) Controlli ISO 27001 / Trattamento Consigliato Rischio Residuo
RSK-01 Codice sorgente (Forma Lms / Plugin) Iniezione di codice malevolo o sfruttamento di vulnerabilità (0-day / CVE) nei componenti Open Source o nei plugin Presenza di librerie di terze parti non aggiornate o difetti nel ciclo di sviluppo (Secure SDLC) 3 3 9 (Critico) A.8.8 Gestione delle vulnerabilità tecniche / A.8.25 Sviluppo sicuro: Scansioni periodiche di codice (SAST/DAST), patch management tempestivo e isolamento ambienti. 2 (Basso)
RSK-02 Infrastruttura Cloud Hosting (AWS) & Database Accesso non autorizzato ai server di produzione o esfiltrazione di dati dei corsisti/clienti Credenziali di accesso deboli, assenza di autenticazione a due fattori (MFA) o errata configurazione dei permessi IAM 2 3 6 (Alto) A.5.15 Controllo degli accessi / A.8.5 Autenticazione sicura: Obbligo di MFA per tutti gli amministratori, principio del minimo privilegio e revoca immediata delle utenze cessate. 2 (Basso)
RSK-03 Piattaforma SaaS (Forma Cloud LMS) Interruzione prolungata del servizio (DDoS, guasto infrastrutturale del Cloud Provider) Mancanza di ridondanza geografica o procedure di disaster recovery non testate regolarmente 2 3 6 (Alto) A.5.30 Prontezza dell'ICT per la continuità operativa / A.8.14 Ridondanza: Accordi di servizio (SLA) stringenti con il Cloud Provider, backup automatici e test di ripristino periodici (DRP). 2 (Basso)
RSK-04 Dati dei Clienti / Aziendali Violazione dei dati personali (Data Breach) o perdita di dati critici per errore umano o attacco ransomware Mancanza di cifratura dei dati a riposo/transito o errate policy di conservazione/cancellazione dei dati 2 3 6 (Alto) A.8.24 Uso della crittografia / A.5.12 Classificazione delle informazioni: Cifratura end-to-end (HTTPS/TLS) e cifratura dei database cloud, sottoscrizione di DPA con i clienti. 2 (Basso)
RSK-05 Dispositivi dei dipendenti (Smart Working / Notebook) Perdita, furto o accesso abusivo a un dispositivo aziendale fuori sede (es. lavoro da remoto) Mancanza di cifratura del disco (BitLocker/FileVault) o assenza di blocchi schermo automatici 2 2 4 (Medio) A.7.9 Sicurezza dei dispositivi / A.8.1 Attrezzature degli utenti: Cifratura obbligatoria dei dispositivi, blocco schermo automatico e policy di pulizia dello schermo (Clean Screen). 1 (Basso)
RSK-06 Supply Chain Software / Fornitori Terzi Compromissione della catena di fornitura software o disservizio da parte di un fornitore critico Assenza di verifiche preventive di sicurezza sui fornitori terzi o dipendenze software esterne 2 2 4 (Medio) A.5.19 Sicurezza nelle relazioni con i fornitori: Due diligence preventiva sui fornitori cloud/servizi e inserimento di clausole di sicurezza nei contratti di fornitura. 1 (Basso)
RSK-07 Reputazione e Proprietà Intellettuale Perdita o corruzione del codice sorgente proprietario (Forma Factory / Plugin) Mancanza di backup isolati (versioning sicuro) o permessi di scrittura non controllati sui repository 1 3 3 (Medio) A.8.12 Prevenzione della fuga di dati / A.8.28 Code signing: Utilizzo di repository cloud sicuri (es. GitHub/GitLab Enterprise) con controllo accessi granulare e backup immutabili. 1 (Basso)
RSK-08 Personale interno e Collaboratori Errori operativi o disattenzione nella gestione della sicurezza (es. phishing, condivisione credenziali) Bassa consapevolezza dei rischi informatici (Security Awareness) da parte del personale 2 2 4 (Medio) A.6.3 Formazione e consapevolezza sulla sicurezza: Esecuzione di piani di formazione periodici sulla sicurezza e simulazioni di phishing per i dipendenti. 1 (Basso)

3. Riesame e Valutazione Continua

Il presente Registro dei Rischi è soggetto a revisione periodica con cadenza almeno semestrale o in coincidenza con:

  1. Rilasci di importanti aggiornamenti di versione della piattaforma Forma Cloud LMS.
  2. Modifiche sostanziali all'infrastruttura cloud o all'architettura di rete.
  3. Rilevazione di nuovi incidenti di sicurezza o vulnerabilità critiche (CVE/0-day).
Risk Management - Scopo, Contesto e Valutazione dei Rischi

PIANO DI TRATTAMENTO DEL RISCHIO (RISK TREATMENT PLAN - RTP)

Il presente documento definisce le azioni correttive, i controlli di sicurezza implementati o pianificati, i ruoli di responsabilità e le tempistiche per mitigare, trasferire o accettare i rischi emersi durante la valutazione del rischio (Risk Assessment) relativa alla piattaforma Forma Cloud LMS e ai servizi correlati.

Tabella Operativa di Trattamento del Rischio
ID Rischio Asset / Processo Rischio Iniziale Opzione di Trattamento Controlli ISO 27001 / Azioni di Mitigazione Stato Attuazione Responsabile Attuazione Tempistiche / Frequenza Rischio Residuo
RSK-01 Codice sorgente (Forma LMS / Plugin) 9 (Critico) Mitigazione Analisi automatizzata SAST/DAST integrata nella pipeline CI/CD (Secure SDLC) e patch management automatizzato. Già attiva Lead Developer / DevOps Monitoraggio continuo (Patch entro 48h per falle critiche) 2 (Basso)
RSK-02 Cloud Hosting (AWS) & Database 6 (Alto) Mitigazione Autenticazione a Due Fattori (MFA) obbligatoria per amministratori, politica del minimo privilegio IAM e cifratura dati. Già applicata System Administrator Revisione permessi semestrale 2 (Basso)
RSK-03 Piattaforma SaaS (Forma Cloud LMS) 6 (Alto) Mitigazione / Trasferimento Accordi SLA con provider AWS, backup automatici multi-regione e test DRP. Già attive IT Operations Manager Test DRP Annuale (e al cambio di architettura) 2 (Basso)
RSK-04 Dati dei Clienti / GDPR 6 (Alto) Mitigazione Cifratura end-to-end in transito (HTTPS/TLS) e a riposo per DB cloud. Sottoscrizione DPA (IT/EN). Già attive DPO / Legal Operativo permanente / Aggiornamento contratti 2 (Basso)
RSK-05 Dispositivi Dipendenti / Workstation 4 (Medio) Mitigazione Cifratura dischi (BitLocker/FileVault), blocco schermo e policy Clean Screen. Già applicata IT Helpdesk Verifiche periodiche sui dispositivi 1 (Basso)
RSK-06 Supply Chain / Fornitori Terzi 4 (Medio) Mitigazione Processo di Due Diligence preventiva e clausole contrattuali di sicurezza nei contratti. In corso di formalizzazione Management / Legal Completamento entro 90 giorni 1 (Basso)
RSK-07 Reputazione e Proprietà Intellettuale 3 (Medio) Mitigazione Repository Git privati con branch protection, gestione ruoli granulare e backup immutabili. Già applicata Lead Developer Operativo permanente 1 (Basso)
RSK-08 Personale interno e Collaboratori 4 (Medio) Mitigazione Piano annuale di Security Awareness, formazione sicurezza e simulazioni di phishing. In corso / Pianificato HR / Responsabile SGSI Avvio entro 60 giorni (cadenza annuale) 1 (Basso)
Modalità di Riesame e Monitoraggio
  1. Verifica dell'attuazione: Il Responsabile della Sicurezza verifica lo stato di avanzamento delle azioni correttive definite nell'RTP con cadenza trimestrale.
  2. Aggiornamento del Piano: Il Piano di Trattamento del Rischio viene riesaminato e aggiornato formalmente almeno una volta all'anno in occasione del Riesame della Direzione, oppure a seguito di incidenti di sicurezza significativi o modifiche rilevanti dell'infrastruttura tecnologica.
Risk Management - Scopo, Contesto e Valutazione dei Rischi

DICHIARAZIONE DI APPLICABILITÀ (STATEMENT OF APPLICABILITY - SoA)

Conforme alla Norma ISO/IEC 27001:2022

Organizzazione: Forma Farm S.r.l.
Sede Legale: Via Savona 10, 20144 Milano (MI)
Modello Operativo: 100% Full Remote / Distributed Organization
Infrastruttura: Cloud Hosting AWS (Amazon Web Services) & Servizi Managed SaaS
Versione Documento: 1.0
Data del Documento: Ottobre 2026

1. INTRODUZIONE E CRITERI DI SELEZIONE

Il presente documento costituisce la Dichiarazione di Applicabilità (SoA) del Sistema di Gestione della Sicurezza delle Informazioni (SGSI) di Forma Farm S.r.l., redatta in conformità ai requisiti della norma ISO/IEC 27001:2022 (Allegato A).

1.1 Contesto e Specificità Operative

Forma Farm S.r.l. sviluppa, eroga e gestisce in modalità SaaS la piattaforma e-learning Forma Cloud LMS, i relativi plugin e servizi integrati. L'organizzazione adotta un modello 100% Full Remote, privo di server o data center fisici di proprietà; l'intera infrastruttura applicativa e di memorizzazione dati è ospitata presso il Cloud Provider AWS (Amazon Web Services).

1.2 Criteri di Inclusione ed Esclusione dei Controlli

I controlli dell'Allegato A della norma ISO/IEC 27001:2022 sono stati valutati e selezionati in base a:

  1. Risultati della valutazione dei rischi (Risk Assessment) declinati nel Registro dei Rischi e nel Piano di Trattamento del Rischio (RTP).
  2. Requisiti cogenti e normativi (es. Regolamento UE 2016/679 - GDPR, normative sul diritto d'autore e proprietà intellettuale).
  3. Obblighi contrattuali stipulati con i clienti (SLA, Data Processing Agreement - DPA).
  4. Esigenze operative del modello di business SaaS/Cloud e lavoro da remoto.

2. MATRICE DEI CONTROLLI ISO/IEC 27001:2022

Sezione A.5 — Controlli Organizzativi (Organizational Controls)

Rif. ISO 27001 Nome Controllo Applicabile (Sì/No) Stato di Attuazione Giustificazione / Modalità di Implementazione
A.5.1 Politiche per la sicurezza delle informazioni Sì Implementato Politica di Sicurezza delle Informazioni definita e approvata dalla Direzione.
A.5.2 Ruoli e responsabilità per la sicurezza Sì Implementato Assegnazione formale delle responsabilità SGSI (Direzione, Lead Dev, Admin, DPO).
A.5.3 Segregazione dei compiti Sì Implementato Separazione dei ruoli tra ambienti di dev/test e produzione cloud AWS.
A.5.4 Responsabilità della direzione Sì Implementato Coinvolgimento attivo nei Riesami della Direzione e nell'allocazione delle risorse SGSI.
A.5.5 Contatto con le autorità Sì Implementato Procedure di contatto per Data Breach con il Garante Privacy e CSIRT Italia.
A.5.6 Contatto con gruppi di interesse speciale Sì Implementato Partecipazione a community Open Source (Forma LMS) e forum sulla sicurezza cloud.
A.5.7 Threat intelligence Sì Implementato Monitoraggio di bollettini CVE, feed di sicurezza AWS e dipendenze software.
A.5.8 Sicurezza delle informazioni nella gestione dei progetti Sì Implementato Integrazione della sicurezza nella roadmap di prodotto e nello sviluppo plugin.
A.5.9 Inventario delle informazioni e degli altri asset associati Sì Implementato Inventario formale degli asset (codice, account cloud, dati clienti, laptop aziendali).
A.5.10 Uso ammissibile delle informazioni e degli asset Sì Implementato Definizione dell'Acceptable Use Policy nell'Information Security Policy e contratti.
A.5.11 Restituzione degli asset Sì Implementato Procedura di offboarding con revoca utenze e restituzione/wipe dei dispositivi.
A.5.12 Classificazione delle informazioni Sì Implementato Definizione di 4 livelli di riservatezza (Pubblico, Interno, Confidenziale, Dati Personali).
A.5.13 Etichettatura delle informazioni Sì Implementato Applicazione di tag e criteri logici sui repository Git, DB e bucket S3.
A.5.14 Trasferimento di informazioni Sì Implementato Utilizzo esclusivo di canali cifrati (TLS/HTTPS, SSH) e clausole contrattuali DPA.
A.5.15 Controllo degli accessi Sì Implementato Principio del minimo privilegio gestito via IAM policy e ruoli ruotati.
A.5.16 Gestione delle identità Sì Implementato Processo formalizzato di provisioning e de-provisioning delle utenze aziendali.
A.5.17 Informazioni per l'autenticazione Sì Implementato Gestione credenziali tramite Password Manager aziendale e obbligo di password complesse.
A.5.18 Diritti di accesso Sì Implementato Revisione periodica (semestrale) delle ACL e delle policy IAM su AWS e GitHub.
A.5.19 Sicurezza delle informazioni nelle relazioni con i fornitori Sì Implementato Valutazione della sicurezza dei fornitori critici (AWS, SaaS terzi).
A.5.20 Indirizzamento della sicurezza nei contratti con i fornitori Sì Implementato Clausole di sicurezza e riservatezza nei contratti e sottoscrizione DPA.
A.5.21 Gestione della sicurezza nella catena di fornitura ICT Sì In corso Procedura di due diligence e verifica della sicurezza delle librerie Open Source.
A.5.22 Monitoraggio, riesame e gestione dei servizi dei fornitori Sì Implementato Verifiche continue sugli SLA dei Cloud Provider e sui report di conformità SOC/ISO.
A.5.23 Sicurezza delle informazioni per l'uso dei servizi cloud Sì Implementato Configurazione conforme alle best-practice di sicurezza cloud AWS (CIS Benchmark).
A.5.24 Gestione degli incidenti per la sicurezza delle informazioni Sì Implementato Procedura formale per rilevazione, escalation e notifica di incidenti/Data Breach.
A.5.25 Valutazione e decisione sugli eventi di sicurezza Sì Implementato Criteri di classificazione della gravità degli eventi correlati alle risorse Cloud.
A.5.26 Risposta agli incidenti di sicurezza Sì Implementato Piani di risposta rapida per isolamento istanze, ripristino backup e patch emergenti.
A.5.27 Apprendimento dagli incidenti di sicurezza Sì Implementato Post-mortem analysis e aggiornamento dei controlli a seguito di anomalie/incidenti.
A.5.28 Raccolta di prove Sì Implementato Tracciabilità dei log di audit AWS CloudTrail e audit log di sistema per uso forense.
A.5.29 Sicurezza delle informazioni durante l'interruzione Sì Implementato Piano di Continuità Operativa e Disaster Recovery per la piattaforma LMS.
A.5.30 PR di ICT per la continuità operativa Sì Implementato Replicazione multi-AZ dei dati e procedure automatizzate di failover su AWS.
A.5.31 Requisiti legali, statutari, normativi e contrattuali Sì Implementato Registro di conformità normativa (GDPR, Proprietà Intellettuale, Contratti Clienti).
A.5.32 Diritti di proprietà intellettuale Sì Implementato Tutela del codice proprietario (Forma Factory/Plugin) e rispetto licenze Open Source.
A.5.33 Protezione dei registri (records) Sì Implementato Conservazione sicura e immutabile dei log e dei documenti fiscali/legali.
A.5.34 Privacy e protezione dei dati personali (PII) Sì Implementato Nomina a Responsabile del Trattamento (DPA), nomina DPO e rispetto del GDPR.
A.5.35 Riesame indipendente della sicurezza Sì Implementato Audit interni programmati e verifiche da parte di enti di certificazione terzi.
A.5.36 Conformità con politiche e standard di sicurezza Sì Implementato Verifiche periodiche sull'applicazione delle policy da parte del personale.
A.5.37 Procedure operative documentate Sì Implementato Documentazione tecnica di deploy, gestione server, backup e manutenzione LMS.

Sezione A.6 — Controlli sulle Persone (People Controls)

Rif. ISO 27001 Nome Controllo Applicabile (Sì/No) Stato di Attuazione Giustificazione / Modalità di Implementazione
A.6.1 Screening Sì Implementato Verifiche pre-assunzione (curriculum, referenze, assenza di condanne) per nuovi assunti.
A.6.2 Termini e condizioni di impiego Sì Implementato Clausole di riservatezza (NDA) ed etica professionale integrate nei contratti di lavoro.
A.6.3 Consapevolezza, istruzione e formazione Sì In corso Piano di formazione annuale in Security Awareness e simulazioni di phishing.
A.6.4 Processo disciplinare Sì Implementato Richiamo al CCNL applicabile per le violazioni delle politiche di sicurezza.
A.6.5 Responsabilità post-impiego Sì Implementato Obbligo di riservatezza permanente e revoca totale degli accessi al termine del rapporto.
A.6.6 Accordi di riservatezza o non divulgazione Sì Implementato Sottoscrizione di NDA con tutti i dipendenti, collaboratori esterni e fornitori terzi.
A.6.7 Lavoro da remoto (Remote working) Sì Implementato Controllo critico: Regolamento di Telelavoro/Smart Working, uso VPN/TLS e dispositivi protetti.
A.6.8 Segnalazione di eventi di sicurezza Sì Implementato Canale di segnalazione interno tempestivo per anomalie, phishing o smarrimento dispositivi.

Sezione A.7 — Controlli Fisici (Physical Controls)

Nota metodologica sul modello Full Remote: Poiché Forma Farm S.r.l. non gestisce server o perimetri fisici di data center (interamente in outsourcing ad AWS), i controlli fisici perimetrali tradizionali sono dichiarati Non Applicabili (Esclusi) o adattati esclusivamente alla sicurezza delle postazioni di lavoro domiciliari/nomadi.

Rif. ISO 27001 Nome Controllo Applicabile (Sì/No) Stato di Attuazione Giustificazione / Modalità di Implementazione
A.7.1 Perimetri di sicurezza fisica No Escluso Non applicabile: Assenza di perimetri fisici aziendali o server locali (infrastruttura 100% AWS).
A.7.2 Ingresso fisico No Escluso Non applicabile: Inesistenti aree ad accesso controllato o sale server proprie.
A.7.3 Mantenimento di uffici, stanze e strutture No Escluso Non applicabile: Organizzazione operativamente 100% distribuita in remote working.
A.7.4 Monitoraggio della sicurezza fisica No Escluso Non applicabile: Gestito autonomamente da AWS per i propri Data Center (certificati ISO 27001).
A.7.5 Protezione contro minacce fisiche e ambientali No Escluso Non applicabile: Delega della sicurezza fisica dei server al Cloud Provider (AWS).
A.7.6 Lavoro in aree sicure No Escluso Non applicabile: Nessuna area ad alto rischio fisico o di produzione gestita in sede.
A.7.7 Scrivania pulita e schermo pulito (Clean desk/screen) Sì Implementato Applicabile alle postazioni di lavoro dei remotisti: blocco schermo automatico e no stampe.
A.7.8 Posizionamento e protezione delle apparecchiature Sì Implementato Obbligo di custodia fisica e non abbandono dei laptop/dispositivi aziendali in luoghi pubblici.
A.7.9 Sicurezza degli asset fuori dalle sedi Sì Implementato Regolamentazione dell'uso dei computer portatili durante trasferte o spostamenti.
A.7.10 Supporti di memorizzazione (Storage media) Sì Implementato Divieto d'uso di pendrive/hard-disk USB non cifrati per il trasferimento di dati riservati.
A.7.11 Utenze di servizio (Utilities) No Escluso Non applicabile: Gestione di energia/climatizzazione affidata interamente al provider AWS.
A.7.12 Sicurezza del cablaggio No Escluso Non applicabile: Assenza di infrastruttura di rete cablata proprietaria.
A.7.13 Manutenzione delle apparecchiature Sì Implementato Manutenzione e sostituzione ordinaria dei laptop di lavoro gestita via Helpdesk/IT.
A.7.14 Smaltimento o riutilizzo sicuro degli asset Sì Implementato Wipe crittografico/distruzione sicura dei dischi prima della dismissione dei notebook.

Sezione A.8 — Controlli Tecnologici (Technological Controls)

Rif. ISO 27001 Nome Controllo Applicabile (Sì/No) Stato di Attuazione Giustificazione / Modalità di Implementazione
A.8.1 Dispositivi degli utenti finali (User endpoint devices) Sì Implementato Cifratura integrale del disco (BitLocker/FileVault), antivirus e OS sempre aggiornato.
A.8.2 Diritti di accesso privilegiato Sì Implementato Restrizione rigorosa dell'accesso Root/Admin su AWS e sistemi di produzione.
A.8.3 Restrizione dell'accesso alle informazioni Sì Implementato Isolamento dei DB per cliente e segregazione dell'accesso ai dati di produzione LMS.
A.8.4 Accesso al codice sorgente Sì Implementato Accesso ai repository GitHub/GitLab regolato da ruoli, MFA e branch protection.
A.8.5 Autenticazione sicura Sì Implementato Obbligo tassativo di Autenticazione a Due Fattori (MFA) su tutte le risorse cloud/SaaS.
A.8.6 Capacity management Sì Implementato Autoscaling e monitoraggio risorse via AWS CloudWatch per prevenire saturazioni.
A.8.7 Protezione contro i malware Sì Implementato Soluzioni Endpoint Protection (EDR/Antivirus) sulle workstation e scansioni container.
A.8.8 Gestione delle vulnerabilità tecniche Sì Implementato Scansione automatizzata di codice e librerie (SAST/DAST) in pipeline CI/CD; patch in 48h.
A.8.9 Gestione della configurazione Sì Implementato Infrastruttura definita come codice (IaC) e configurazioni di sicurezza standardizzate.
A.8.10 Cancellazione delle informazioni Sì Implementato Script automatizzati per la cancellazione sicura dei dati al termine dei contratti (DPA).
A.8.11 Mascheramento dei dati (Data masking) Sì Implementato Anonomizzazione/Pseudonimizzazione dei dati di produzione usati in ambienti di test.
A.8.12 Prevenzione della fuga di dati (DLP) Sì Implementato Restrizione dei download, blocco condivisioni pubbliche di bucket S3 e monitoraggio log.
A.8.13 Backup delle informazioni Sì Implementato Backup automatici giornalieri multi-regione AWS con test di ripristino periodici.
A.8.14 Ridondanza delle strutture di elaborazione Sì Implementato Architettura Cloud distribuita su più Multi-Availability Zone (Multi-AZ AWS).
A.8.15 Logging Sì Implementato Abilitazione di log centralizzati su AWS CloudWatch/CloudTrail e conservazione protetta.
A.8.16 Attività di monitoraggio Sì Implementato Allarmi in tempo reale per accessi anomali, errori di sistema o picchi di traffico.
A.8.17 Sincronizzazione dell'ora Sì Implementato Sincronizzazione automatica del tempo su server e container tramite NTP (AWS Time Sync).
A.8.18 Uso di programmi di utilità privilegiati Sì Implementato Restrizione dell'uso di tool di sistema e tracciamento dei comandi amministrativi.
A.8.19 Installazione di software sui sistemi operativi Sì Implementato Blocco dell'installazione di software non autorizzato sulle postazioni di lavoro.
A.8.20 Sicurezza delle reti Sì Implementato Utilizzo di VPC (Virtual Private Cloud), subnet private e Security Group su AWS.
A.8.21 Sicurezza dei servizi di rete Sì Implementato Utilizzo di HTTPS, firewall applicativi (WAF) e protezione anti-DDoS (AWS Shield).
A.8.22 Segregazione delle reti Sì Implementato Separazione logica tra ambienti aziendali, ambienti Dev/Staging e Production Cloud.
A.8.23 Filtraggio web Sì Implementato Protezione DNS/Endpoint per prevenire la navigazione su siti malevoli o di phishing.
A.8.24 Uso della crittografia Sì Implementato Cifratura dei dati in transito (TLS 1.2/1.3) e a riposo (AES-256 su database e storage).
A.8.25 Ciclo di vita dello sviluppo sicuro (Secure SDLC) Sì Implementato Linee guida per lo sviluppo sicuro, code review obbligatoria e test di sicurezza.
A.8.26 Requisiti di sicurezza delle applicazioni Sì Implementato Analisi dei requisiti di sicurezza per tutti i nuovi moduli o plugin di Forma LMS.
A.8.27 Architettura dei sistemi sicuri e principi di ingegneria Sì Implementato Progettazione basata su principi di Defense in Depth e Zero Trust.
A.8.28 Coding sicuro Sì Implementato Adozione degli standard OWASP Top 10 nelle prassi di programmazione del team Dev.
A.8.29 Test di sicurezza nello sviluppo e nell'accettazione Sì Implementato Scansioni SAST/DAST e test di collaudo prima di ogni release in produzione.
A.8.30 Sviluppo esternalizzato Sì Implementato Controllo del codice e review rigorosa per i plugin forniti da terzi/freelance.
A.8.31 Separazione degli ambienti di sviluppo, test e produzione Sì Implementato Ambienti cloud separati e isolati; nessun dato reale di produzione in dev/test.
A.8.32 Gestione del cambiamento (Change management) Sì Implementato Flusso di approvazione e tracciamento delle modifiche al codice e all'infrastruttura.
A.8.33 Informazioni di test Sì Implementato Utilizzo esclusivo di dati sintetici o pseudonimizzati per gli ambienti di test.
A.8.34 Protezione dei sistemi di informazione durante i test Sì Implementato Limitazione e monitoraggio degli accessi agli ambienti di staging e collaudo.

3. SINTESI E APPROVAZIONE

La presente Dichiarazione di Applicabilità è approvata dalla Direzione di Forma Farm S.r.l. ed è soggetta a riesame almeno annuale o in coincidenza con modifiche rilevanti dell'infrastruttura tecnologica e dei processi di business.

Milano, Ottobre 2026
Forma Farm S.r.l. — La Direzione

Security Policies - Gestione Operativa e dei Controlli

Security Policies - Gestione Operativa e dei Controlli

Gestione delle Identità e degli Accessi (IAM)

La politica IAM regola l'accesso logico ai sistemi aziendali, agli ambienti di produzione cloud e ai repository di codice, garantendo che ogni accesso sia autorizzato, tracciato e limitato.

Security Policies - Gestione Operativa e dei Controlli

Gestione della Sicurezza delle Risorse Umane

La sicurezza delle risorse umane copre l'intero ciclo di vita del personale (prima, durante e dopo l'impiego) per mitigare i rischi legati a minacce interne o errori umani.

Security Policies - Gestione Operativa e dei Controlli

Asset Inventory (TBD)

Compliance - Miglioramento Continuo, Audit e Conformità Legale

Registri